ISO 27001 Berbanding Pematuhan Tempatan: Memetakan Kawalan kepada RMiT dan PDPA
ISO 27001:2022 ialah piawaian antarabangsa untuk Sistem Pengurusan Keselamatan Maklumat (ISMS). Bagi organisasi Malaysia, piawaian ini boleh dijadikan asas teknikal yang memudahkan pematuhan BNM RMiT dan PDPA. Artikel ini meneliti persamaan dan perbezaan antara ketiga-tiga rangka kerja, kelebihan pendekatan ISMS bersepadu, jadual pemetaan kawalan terperinci, serta anggaran kos dan tempoh pensijilan.
Pengenalan kepada Tiga Rangka Kerja
ISO 27001:2022 ialah piawaian ISMS antarabangsa yang mentakrifkan keperluan untuk mewujudkan, melaksanakan, mengekalkan dan memperbaiki sistem pengurusan keselamatan maklumat. Versi 2022 mengemas kini Lampiran A kepada 93 kawalan dalam 4 tema (organisasi, manusia, fizikal dan teknologi).
BNM RMiT ialah dasar mandatori bagi institusi kewangan Malaysia yang menetapkan jangkaan kawalan teknologi. PDPA Malaysia (versi pindaan 2024) pula menumpukan perhatian kepada perlindungan data peribadi. Walaupun skopnya berbeza, banyak kawalan asas, seperti kawalan akses, kriptografi dan pengurusan insiden, bertindih.
Persamaan dan Perbezaan
Persamaan utama: ketiga-tiga rangka kerja menjangkakan organisasi mempunyai dasar keselamatan bertulis, kawalan akses berasaskan peranan, kriptografi yang sesuai, pemantauan dan pengelogan, pelan respons insiden serta pengurusan pembekal.
Perbezaan: ISO 27001 menumpukan perhatian kepada sistem pengurusan dan boleh disesuaikan dengan mana-mana organisasi. RMiT lebih khusus kepada teknologi institusi kewangan. PDPA menumpukan perhatian kepada hak subjek data dan perlindungan data peribadi secara khusus.
Kelebihan ISMS Bersepadu
Organisasi yang tertakluk kepada berbilang rangka kerja sering terjerumus ke dalam perangkap membina program pematuhan yang berasingan bagi setiap satu, lalu menyebabkan dasar berganda, kerja audit berlebihan dan kekeliruan kakitangan. Pendekatan ISMS bersepadu mengelakkan perkara ini melalui satu set dasar, prosedur dan kawalan yang dipetakan kepada pelbagai rangka kerja.
ISO 27001 ialah asas yang sangat baik kerana diiktiraf di peringkat antarabangsa, kaya dengan templat dan alatan, serta boleh diaudit oleh ramai juruaudit bertauliah. RMiT dan PDPA boleh dipetakan kepada ISMS ISO sebagai 'rangka kerja khusus tempatan'.
Jadual Pemetaan Kawalan Utama
Jadual berikut memetakan kawalan terpilih ISO 27001:2022 Lampiran A dengan keperluan yang setara dalam RMiT dan PDPA. Pemetaan ini ringkas sahaja; pemetaan penuh memerlukan analisis terperinci oleh juruaudit bertauliah.
| Kawalan ISO 27001:2022 | Keperluan setara RMiT | Keperluan setara PDPA |
|---|---|---|
| A.5.1 Dasar keselamatan maklumat | Tadbir urus teknologi: dasar diluluskan oleh lembaga pengarah | Dasar privasi diterbitkan untuk subjek data |
| A.5.7 Risikan ancaman | Pengurusan risiko siber: risikan ancaman siber | Tiada keperluan langsung (amalan terbaik) |
| A.5.15 Kawalan akses | Pengurusan akses dan hak istimewa | Kawalan akses kepada data peribadi (Prinsip Keselamatan) |
| A.5.23 Keselamatan perkhidmatan awan | Penyumberan luar dan pengurusan risiko awan | Pemindahan data peribadi rentas sempadan |
| A.5.24-25 Pengurusan insiden | Pelan respons insiden dan pelaporan kepada BNM/MaCERT | Pemberitahuan pelanggaran data (DBN) dalam tempoh 72 jam |
| A.5.30 Kesiapsiagaan ICT untuk kesinambungan perniagaan | Pengurusan kesinambungan perniagaan (BCM) dan pelan pemulihan bencana (DRP): RTO/RPO, ujian pengalihan kegagalan (failover) | Pengekalan data peribadi semasa insiden |
| A.5.34 Privasi dan perlindungan maklumat pengenalan peribadi (PII) | Tiada keperluan langsung | Prinsip Umum PDPA: pemprosesan yang adil |
| A.6.3 Latihan kesedaran keselamatan | Latihan kakitangan teknologi dan pengguna akhir | Latihan kakitangan tentang perlindungan data |
| A.7 Kawalan fizikal | DCRA: penilaian risiko pusat data | Keselamatan fizikal lokasi penyimpanan data |
| A.8.7 Perlindungan terhadap perisian hasad | Kawalan teknikal asas RMiT | Prinsip Keselamatan PDPA |
| A.8.12 Pencegahan kebocoran data (DLP) | Pengurusan risiko siber: DLP terutama untuk data pelanggan | Perlindungan terhadap pendedahan tidak sah |
| A.8.15 Pengelogan | SOC 24/7, pengekalan log keselamatan | Jejak audit akses data peribadi |
| A.8.24 Penggunaan kriptografi | Penyulitan data semasa transit dan semasa disimpan | Langkah teknikal perlindungan data peribadi |
| A.8.25-26 Kitar hayat pembangunan selamat | Kitar hayat pembangunan perisian (SDLC) yang selamat: DevSecOps | Privasi melalui Reka Bentuk (Privacy by Design) |
| A.8.28 Pengekodan selamat | Kawalan aplikasi web perbankan dan mudah alih | Tiada keperluan langsung (amalan terbaik) |
| A.8.34 Perlindungan semasa audit | Akses juruaudit BNM yang terkawal | Audit oleh Pesuruhjaya PDP |
Kos dan Tempoh Pensijilan ISO 27001
Pensijilan ISO 27001 melibatkan dua peringkat utama: pelaksanaan (penilaian jurang, pembinaan ISMS, latihan dan audit dalaman) serta pensijilan luaran (Peringkat 1 dan Peringkat 2 oleh badan pensijilan bertauliah).
Tempoh biasa: 9–18 bulan dari permulaan hingga pensijilan. Kos berbeza mengikut saiz dan kerumitan. Organisasi kecil mungkin menanggung RM80,000–RM150,000, manakala organisasi besar boleh melebihi RM300,000 (termasuk yuran perunding dan badan pensijilan).
Selepas pensijilan, audit pengawasan tahunan dan pensijilan semula setiap 3 tahun diperlukan untuk mengekalkan status.
Nota penting: maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA dan Pesuruhjaya Perlindungan Data Peribadi) serta mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.
- Penilaian jurang awal: 4–6 minggu
- Pelaksanaan ISMS: 6–12 bulan
- Audit dalaman: 4 minggu
- Audit Peringkat 1 (dokumentasi): 1–2 hari
- Audit Peringkat 2 (pelaksanaan): 3–7 hari mengikut saiz
- Audit pengawasan: tahunan
- Pensijilan semula: setiap 3 tahun
Bilakah ISO 27001 Sangat Berguna untuk Malaysia?
ISO 27001 paling berguna untuk: (a) syarikat teknologi kewangan (fintech) yang ingin menjual kepada bank atau berkembang ke peringkat serantau, (b) pembekal teknologi yang ingin lulus proses usaha wajar oleh kerajaan atau syarikat multinasional (MNC), (c) institusi kewangan yang sudah perlu mematuhi RMiT, kerana ISO memberikan nilai tambah untuk pasaran di luar Malaysia, dan (d) hospital serta organisasi yang mengendalikan data peribadi sensitif dan ingin menunjukkan komitmen terhadap perlindungan data.
nCrypt Malaysia membantu organisasi dengan perundingan ISO 27001 menyeluruh, daripada penilaian jurang hingga sokongan audit pensijilan. Sila rujuk halaman Perundingan ISMS ISO 27001.
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Adakah ISO 27001 mencukupi untuk pematuhan RMiT?
Tidak sepenuhnya. RMiT mempunyai keperluan khusus yang melangkaui ISO (contohnya DCRA dan kawalan sektor kewangan). Walau bagaimanapun, ISMS ISO yang matang meliputi sebahagian besar keperluan teknikal RMiT.
Manakah yang lebih baik untuk PDPA, ISO 27701 atau ISO 27001?
ISO 27701 ialah lanjutan ISO 27001 yang khusus untuk privasi. Bagi organisasi yang menumpukan perhatian kepada perlindungan data peribadi, gabungan ISO 27001 dan 27701 sangat berkesan untuk pematuhan PDPA.
Bolehkah kami memperoleh sijil ISO 27001 tanpa perunding?
Boleh, tetapi sukar bagi organisasi yang pertama kali melakukannya. Perunding berpengalaman mempercepatkan proses dan mengurangkan risiko gagal dalam audit Peringkat 2.
Adakah sijil ISO diiktiraf oleh BNM?
BNM tidak menggantikan keperluan RMiT dengan sijil ISO. Walau bagaimanapun, sijil ISO yang sah menunjukkan kematangan ISMS dan dipandang positif semasa penyeliaan.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.